MCP Scan

🚀 MCP-Scan：MCPセキュリティスキャンツール

MCP-Scanは、インストールされたMCPサーバーにおける一般的なセキュリティホール（プロンプトインジェクション、ツールポイズニング、クロスドメインアップグレードなど）を検査するために設計されたセキュリティスキャンツールです。

🚀 クイックスタート

MCP-Scanを実行するには、以下のコマンドを使用します。

uvx mcp-scan@latest

または

npx mcp-scan@latest

実行例

✨ 主な機能

• Claude、Cursor、WindsurfなどのファイルベースのMCPクライアント構成をスキャンします。
• 防護柵を使用して、プロンプトインジェクション攻撃とツールポイズニング攻撃をスキャンします。
• クロスドメインアップグレード攻撃（ツールシャドウ）を検出します。
• 「ツール固定」により、MCPのなりすまし攻撃を検出および防止します（例：ハッシュによるMCPツールの変更検出）。
• inspectコマンドで、インストールされたツールのツール説明を確認できます（例：uvx mcp-scan@latest inspect）。

🔧 技術詳細

MCP-Scanは、あなたの設定ファイルを走査してMCPサーバーの設定を探します。その後、これらのサーバーに接続してツールの説明を取得します。

ツールの説明をスキャンし、ローカルでのチェックと、Invariant LabsのAPIを呼び出して行う防護柵チェックの両方を行います。このため、ツール名と説明はinvariantlabs.aiと共有されます。MCP-Scanを使用することで、あなたはinvariantlabs.aiの利用規約とプライバシーポリシーに同意することになります。

Invariant Labsは、セキュリティ研究目的でデータを収集しています（ツールの説明とその経時的な変化に関するもののみで、あなたのユーザーデータではありません）。ツールを共有したくない場合は、MCP-scanを使用しないでください。

MCP-scanは、使用データ（つまり、あなたが呼び出したMCPツールの内容と結果）を保存または記録しません。

🤝 コントリビューション

MCP-Scanへのコントリビューションを歓迎します。何か提案、バグ報告、または機能要求がある場合は、GitHubリポジトリでイシューを開いてください。

🛠️ 開発環境設定

ソースコードからこのパッケージを実行するには、以下の手順に従ってください。

uv run pip install -e .
uv run -m src.mcp_scan.cli

📦 MCP-scanの結果をあなたのプロジェクト/レジストリに組み込む

MCP-scanの結果をあなた自身のプロジェクトやレジストリに組み込みたい場合は、mcpscan@invariantlabs.aiを通じてチームに連絡してください。お手伝いいたします。

📚 詳細情報

• MCP-Scanの紹介
• MCPセキュリティ通知 ツールポイズニング攻撃